Github Actions Secrets API を使って Go で Secrets を更新する

Github Actions API が公開され、 Secrets を API 経由で更新できるようになりました

Github Actions で利用する Secrets はこれまで手作業で更新する必要がありました。
たくさんのレポジトリを管理していてそれぞれに Actions を仕込むときに更新がとても大変でした。

そんな中、 Github Actions API が公開(2020/1/27)され、 Secrets の更新が API 経由で行えるようになりました

Secrets | Github Developer Guide

Secrets API の概要

Secrets は秘密鍵、公開鍵を用いて暗号化しているのですが、 Github Actions では libsodium を使って実現しているようです。

• jedisct1/libsodium - Github
• Introduction - Libsodium documentation

• 暗号化に使う公開鍵を Github Actions API を使って取得します。
• key_id と key が取得できます。 (libsodium で Secrets を暗号化するための公開鍵です)
  • key は base64 でエンコードされているのでデコードしてバイナリに戻します。
• 公開鍵を用いて Secrets を暗号化します。
• Github Actions API を使って Secrets 名と暗号化された Secrets を送信します。
• Github Actions で用いるときに秘密鍵で復号化して Secrets を利用しているものと思われます。

Go で API を叩いてみます

Go には google/go-github という Github API のライブラリが存在します。

google/go-github - Github

ただ、 2020/1/31 現在、まだこのライブラリでは Github Actions API をサポートしてない模様です。
調べてみると、既にサポート PR が出ていたので試してみました。

go.mod

replace github.com/google/go-github/v29 => github.com/martinssipenko/go-github/v29 v29.0.3-0.20200130054045-bbe3d535861d

func UpdateSecret(owner, repo, name, secret string) error {
    // Github Client を用意
    sts := oauth2.StaticTokenSource(
        &oauth2.Token{AccessToken: os.Getenv("GITHUB_TOKEN")},
    )
    oc := oauth2.NewClient(context.Background(), sts)
    cli := github.NewClient(oc)

    // 公開鍵を取得
    pubKey, _, err := cli.Actions.GetPublicKey(context.Background(), owner, repo)
    if err != nil {
        fmt.Println("error GetPublicKey:", err.Error())
        return err
    }
    pkBase64 := pubKey.GetKey()
    pk := make([]byte, 32)
    _, err = base64.StdEncoding.Decode(pk, []byte(pkBase64))
    if err != nil {
        fmt.Println("base64 decode error:", pkBase64, err.Error())
        return err
    }

    // sodium で暗号化を施す
    encSec := sodium.Bytes(secret).SealedBox(sodium.BoxPublicKey{Bytes: pk})
    encSecBase64 := base64.StdEncoding.EncodeToString(encSec)

    // Secret を更新
    es := &github.EncryptedSecret{
        Name:           name,
        KeyID:          *pubKey.KeyID,
        EncryptedValue: encSecBase64,
    }
    _, err = cli.Actions.CreateOrUpdateSecret(context.Background(), owner, repo, es)
    if err != nil {
        fmt.Println("failed to update secret", err.Error())
        return err
    }
    return nil
}

これで無事 Secret を API 経由で更新できました